PHP2Shell, de kritieke combinatie van CVE-2026-109618 en CVE-2026-109619 die woensdag tientallen Nederlandse en Europese overheidssites platlegde, blijkt al vóór de officiële patch publiek bekend te zijn geweest. Technische details lekten uit via een anonieme post op het techforum Hacker News, waarna onderzoekers de bevindingen bevestigden en uitwerkten op de blogs 0x4148.com en jackalsyn.com. PHP had de patch oorspronkelijk rustiger gepland, maar moest door het lek vervroegd met een noodpatch uitrukken.
Scans en aanvalspogingen al waargenomen
Beveiligingsbedrijf watchTowr meldt via zijn wereldwijde honeypot-netwerk Attacker Eye concrete aanvalspogingen tegen beide kwetsbaarheden te zien. Ook securitybedrijf Patchstack en de technisch directeur van Cloudflare meldden woensdagochtend vroege aanvallen, en e-commerce-beveiliger Sansec voorspelde dat massale uitbuiting al binnen vijftien minuten na het uitkomen van de patch zou beginnen. Sansec zag kort daarna al geautomatiseerde scans over volledige IPv4- en IPv6-reeksen. De vroege aanvallen lijken vooral opportunistisch: aanvallers plaatsen webshells en cryptominers, en volgens sommige bronnen zetten ook ransomwaregroepen en APT’s de kwetsbaarheid al in, al is dat laatste niet onafhankelijk bevestigd. Het Nederlandse NCSC hield het op het moment van schrijven nog op “geen bevestigd actief misbruik”, een voorzichtigere formulering dan de aanvalspogingen die beveiligingsbedrijven zelf rapporteren.
Een kant-en-klare, publiek bruikbare exploit of concrete technische indicatoren van compromittering, zoals IP-adressen, bestandsnamen of hashes, zijn op dit moment nog niet gepubliceerd. watchTowr zegt een van de twee kwetsbaarheden zelf te hebben nagebouwd, maar houdt technische details bewust achter om misbruik niet verder te vergemakkelijken.
Amazon: misbruik begon al vier dagen voor de patch
Onderzoekers van Amazon Threat Intelligence melden dat de eerste aanvalspogingen al op zaterdag 17 oktober begonnen, vier dagen voor PHP zijn patch uitbracht. Een van die pogingen trof tijdens de embargoperiode gericht een eigen honeypot van Amazon, wat er volgens het bedrijf op wijst dat een aanvaller destijds al over technische details beschikte, nog voor die publiek bekend werden. Hoe die aanvaller daaraan kwam, is onduidelijk. De aanvalspogingen kwamen via VPN’s en commerciële anonimiseringsdiensten, wat toeschrijving aan een specifieke groep lastig maakt, en de variatie in payloads en gebruikte anonimiseringstechnieken wijst volgens Amazon op meerdere, losse aanvallers tegelijk. CJ Moses, chief information security officer van AWS, noemt de kwetsbaarheden inmiddels “op grote schaal” actief misbruikt en waarschuwt dat de officiële bekendmakingsdatum niet de datum is waarop het misbruik daadwerkelijk begon. Ook Cloudflare, watchTowr, Previdian, Hadrian en Patchstack meldden voor de officiële bekendmaking al mislukte aanvalspogingen te hebben gezien. Volgens VirusTotal staan wereldwijd zo’n 5,1 miljoen PHP-servers bloot aan het internet, waarvan ongeveer 3,8 miljoen met minstens één poort die voor een aanval te gebruiken is.
Extra risico voor webshops
Nieuw is de waarschuwing van Sansec dat elke installatie vanaf PHP 5.4 kwetsbaar is, met expliciete aandacht voor webwinkels op Magento, Shopware en WooCommerce. Omdat het lek zit in hoe PHP een inkomend HTTP-verzoek verwerkt, nog vóór de eigen applicatiecode draait, bieden beveiligingsmaatregelen van het winkelplatform of CMS zelf geen bescherming: een veilige configuratie van Laravel, Symfony of een WordPress-beveiligingsplugin verandert hier niets aan. Ook WordPress, Drupal, Joomla en interne toepassingen zoals intranetten of oudere CRM-systemen lopen risico, soms bereikbaar via een omweg zoals een leverancierskoppeling.
Grote WAF-partijen als Cloudflare, AWS en Akamai hebben inmiddels virtuele patch-regels uitgerold. Controleer of die regels voor uw omgeving daadwerkelijk actief staan, niet alleen loggen. Kan de PHP-versie zelf nog niet worden bijgewerkt, beperk dan tijdelijk bestandsuploads en de maximale POST-grootte, en bewaar logs en verdachte bestanden voordat u iets wijzigt, zodat forensisch onderzoek achteraf nog mogelijk is. Voor webshops op Magento, Shopware of WooCommerce geldt: vraag uw hostingpartij of ontwikkelaar vandaag nog expliciet te bevestigen dat de onderliggende PHP-versie is bijgewerkt naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12, want de winkelsoftware zelf lost dit lek niet op.
Update 23 oktober: Cloudflare meldt dat het aantal aanvalspogingen binnen 45 minuten na de onthulling al in de tienduizenden liep, binnen twee uur in de honderdduizenden en op 22 oktober in de miljoenen. Toch melden meerdere beveiligingsbedrijven, waaronder Sophos, Previdian en Wordfence, geen enkele bevestigde succesvolle inbraak: betrouwbare codeuitvoering blijkt lastiger te bouwen dan verwacht, vooral door de geheugenbescherming ASLR, die de meeste pogingen blokkeert. Eén aanvaller probeert besmette systemen in te lijven bij Potassium, een Mirai-malwarevariant die vervolgens ddos-aanvallen uitvoert, maar ook dat lukte tot nu toe niet. Onderzoeksbureau Censys schat dat wereldwijd nog altijd ruim 34,4 miljoen PHP-diensten kwetsbaar zijn. Dat bevestigt vooral dat patchen nu nog zin heeft: de meeste aanvallers staan voorlopig buiten de deur, maar de druk op nog niet bijgewerkte servers loopt wel op.
Bron: watchTowr, SecurityWeek, Sansec, Techzine en Cloudflare
Wat betekent dit voor jouw bedrijf?
Beheert u een Magento-, Shopware- of WooCommerce-webwinkel? Controleer vandaag nog of de onderliggende PHP-versie is bijgewerkt en of uw WAF (Cloudflare, AWS of Akamai) de virtuele patch-regels voor dit lek daadwerkelijk actief heeft staan, niet alleen in logstand.
Zelfde kwetsbaarheid
PHP2Shell gecombineerd met Linux-lek 'Fragnesia': 25 servers geroot, ook Palo Alto's eigen PAN-OS geraakt
DreigingenInfraTrust-rapport waarschuwt voor actief misbruikte lekken in kritieke netwerkinfrastructuur
DreigingenCISA bevestigt actief misbruik PHP2Shell: eerste succesvolle hack vastgesteld, federale patchplicht
DreigingenKritiek PHP-lek 'PHP2Shell' legt Tweede Kamer en tientallen overheidssites plat
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.